Repères - N°34 / Juillet 2017 - Le magazine de l’Institut de radioprotection et de sûreté nucléaire - 8

faItS et peRSpectIveS

nucléaire qu'on peut aller plus loin dans la
vérification formelle des logiciels", indique
Pascal Régnier. EDF a utilisé l'une de ces
méthodes, la "vérification abstraite", pour
analyser les logiciels implantés dans le
contrôle-commande du palier 1 300 MW
et de l'EPR.

Le réacteur EPR, comme les
actuels réacteurs de 1 450 MW,
fait appel à l'informatique pour
l'ensemble de son architecture
de contrôle-commande. La
plupart des systèmes de
pilotage normal ou postaccidentel sont développés à
partir de la même plateforme
industrielle, et reliés par
des réseaux. Le système de
protection, classé au plus haut
niveau pour la sûreté, est quant
à lui indépendant et développé
spécialement pour le nucléaire.

Cela pose-t-il
des problèmes ?

Le fait que les systèmes de
pilotage soient interconnectés
rend leur indépendance,
et donc leur immunité
aux «défaillances de cause
commune», plus difficile
à démontrer. L'IRSN
l'a signalé dans un rapport
de 2009. EDF a apporté
des modifications.
L'ASN les a définitivement
acceptées en 2011.

3 questions à...
Jean Gassino
expert senior de l'IrsN
en contrôle-commande

Quelles modifications ont
été apportées ?

EDF a supprimé certaines
fonctions de diagnostic prévues
à l'origine car leur intervention
aurait pu, dans certains cas,
ralentir le temps de réponse
du système de pilotage postaccidentel. Il a introduit un
réseau interne propre au
système d'automatisme de
sûreté (SAS) pour rendre les
temps de communication
interne indépendants des
évènements extérieurs.
L'ingénierie des logiciels de
paramétrage des automates et
de l'interface homme-machine
ont été modifiés afin que leur
intervention n'influence pas
indûment le fonctionnement
des systèmes de pilotage.
Ils ne sont plus connectés en
permanence, ils doivent être
commandés par un opérateur.

©stéphanie Jayet/IrsN

Le système de contrôle-commande
repère les anomalies
dans le cœur du réacteur.

Quelle est la spécificité
du contrôle-commande
du réacteur EPR ?

Les règles internationales de développement des systèmes numériques de
contrôle-commande ont évolué depuis l'introduction de cette technologie au milieu des années 1980 dans les
pays les plus avancés comme la France.
L'AIEA1 et la CEI 2 édictent des normes
auxquelles l'IRSN participe activement.
En 2016, l'IRSN a publié sa propre "doctrine" dans un rapport diffusé à l'industrie.
Après l'analyse positive de l'IRSN et
l'autorisation de l'ASN, les calculateurs
ont été installés à la centrale de Paluel,
puis de nouveau testés - cette fois-ci par
EDF - jusqu'au printemps 2015.
En juin 2016, l'ASN a mené sur place,
avec l'appui de l'IRSN, une inspection
qui s'est conclue positivement.
Le système fonctionne aujourd'hui à
Paluel 1 et EDF va le déployer, au fur et à
mesure des arrêts de tranche, sur tous les
autres réacteurs de 1 300 MW. n
1. Agence internationale de l'énergie atomique
2. Commission électrotechnique internationale

À lire sur le webmagazine
Les contraintes techniques des
équipements de contrôle-commande

page 8 - repères N° 34 - juillet 2017

Paluel: première centrale équipée

En Grande-Bretagne, le réacteur
Sizewell B est équipé d'un système de
contrôle-commande numérique.

aIlleUrs

Grande-Bretagne :
deux évaluations indépendantes

n 1995, sizewell b est le premier
réacteur anglais à comporter un
système de protection à
commande numérique. pour prouver sa
sûreté, il a fallu produire un grand nombre
d'arguments, incluant un ensemble de
tests statiques et dynamiques.
"l'évaluation des systèmes de sûreté
numériques repose désormais sur deux
piliers, deux ensembles d'arguments",
explique mark bowell, de l'oNr (office
for Nuclear regulation), l'autorité de

sûreté de grande-bretagne. la première
évaluation est du ressort du fournisseur :
il doit se conformer aux règles
de l'art internationales en matière de
développement et vérification du logiciel.
Une seconde évaluation est effectuée par
plusieurs organismes, indépendants du
fournisseur, utilisant autant que possible
des techniques différentes.
l'oNr examine ensuite la démonstration
de sûreté globale et effectue l'évaluation
réglementaire.

Table des matières de la publication Repères - N°34 / Juillet 2017 - Le magazine de l’Institut de radioprotection et de sûreté nucléaire